Porttikohtainen autentikointi

Abstract

Opinnäytetyön tavoitteena oli suunnitella ja pilotoida porttikohtainen autentikointiympäristö Päijät-Hämeen sosiaali- ja terveysyhtymälle. PHSOTEY:llä on ympäri Päijät-Hämeen aluetta toimipaikkoja muuallakin kuin pelkästään Päijät-Hämeen keskussairaalan tiloissa. Näissä toimipaikoissa on myös muita yrityksiä samassa rakennuksessa ja siellä sijaitsee eri yritysten kanssa yhteisiä ristikytkentäkaappeja. Alueelle täytyisi siis suunnitella tietoturvallinen ratkaisu, jotta vieraiden yritysten laitteet eivät pääse luvattomasti kytkeytymään PHSOTEY:n verkkoon.

Tietoturva muodostuu yleisesti monesta eri tekijästä. Tämän takia opinnäytetyön teoriaosuudessa käsitellään tietoturvaa, lähiverkon toimintaa, autentikointi-menetelmiä sekä porttikohtaisessa autentikoinnissa käytettäviä eri protokollia. Opinnäytetyössä tehtiin pilottiympäristö porttikohtaiselle autentikoinnille, jossa käytettiin asiakaspäätettä, muutamaa erilaista kytkintä sekä RADIUS-palvelinta. Pilottiympäristössä mallinnettiin PHSOTEY:n tuotantoa ja testataan ympäristön toimivuutta eri kytkimillä, jolla varmistetaan autentikoinnin toimivuus myös työn tullessa tuotantoympäristöön. Autentikointimenetelmäksi valittiin IEEE 802.1x porttikohtainen autentikointi. Valinta oli IEEE 802.1x-autentikointi, koska IEEE 802.1x-autentikointi on tietoturvallisin ja käytännöllisin ratkaisu toteuttaa vertailluista autentikointimenetelmistä.

Kevään 2015 aikana työ pilotoitiin PHSOTEY:n tiloissa. Pilotoinnin jälkeen huomattiin, että alueella on myös muitakin laitteita kuin vain työasemia, jolloin IEEE 802.1x porttikohtaisen autentikoinnin ohelle täytyy ottaa vaihtoehtoinen autentikointimenetelmä käyttöön. Varmimmaksi tavaksi tulee MAC-autentikoinnin liittäminen IEEE 802.1x-autentikoinnin rinnalle, jolloin voidaan myös sellaisia laitteita liittää autentikoinnin piiriin, jotka eivät IEEE 802.1x-autentikointia tue. Valmis työ tulee tulevaisuudessa PHSOTEY:n tuotantoon. Porttikohtainen autentikointi on ollut jo suunnitteilla, mutta sitä ei ole vielä ehditty pilotoimaan.

The goal of this thesis was to create and test a port based authentication system for the Päijät-Häme’s Social and Health Group. They have offices in various locations in Päijät-Häme. In these buildings there are also other companies and there should be a plan for a secure method how to block computers of other businesses accessing the Päijät-Häme Social and Health Group’s network.

Information security usually depends on various factors. This is why the theory part of the thesis contains several topics such as information security, local area networks, authentication methods and different protocols used in port-based authentication. In the thesis, a pilot environment was made and it consisted of a client, a couple of switches and a RADIUS server. In the pilot phase the Päijät-Häme Social and Health Group’s production design was modeled. The functioning of the switches was tested in order to secure the functioning of the envrionment when the pilot turns into production. The IEEE 802.1x authentication method was chosen, because it is the most secure and practical method to implement.

During spring 2015 the port-based authentication environment was piloted in the IT area of the Päijät-Häme Social and Health Group. After the pilot phase it was found that all the devices in the areas network are not just computers that support the IEEE 802.1x port-based authentication, and therefore in the future production phase, there should be some other authentication method to be attached to the IEEE 802.1x authentication. The most secure way is MAC authentication, because you can authenticate devices not supporting the IEEE 802.1x authentication with it.